Es este un ataque de fuerza bruta

Esto se parece a la exploración en segundo plano que experimentará cualquier servidor en Internet.

Debería estar preocupado

En realidad no, el escaneo en segundo plano es completamente normal, siempre que sus contraseñas sean seguras, el escaneo en segundo plano no debe suponer ningún riesgo.

¿Cuáles son los mejores pasos de mitigación

Puede usar lo siguiente para hacer que el servidor sea más seguro:

• Permitir solo el inicio de sesión usando la autenticación de clave
• Deshabilitar el acceso de root ssh
• Use un sistema como Fail2Ban para bloquear los intentos de fuerza bruta

¿Debo cambiar las direcciones IP?

El cambio de direcciones IP probablemente no afectará mucho el escaneo en segundo plano automatizado

Como ya se indicó en los comentarios anteriores, el cambio de IP NOT evitará que los escáneres malintencionados lo analicen.

Resumiré los pasos necesarios para realmente asegurar su servicio SSH:

• como las personas han mencionado de antemano: cambie el puerto a un valor no estándar (puerto alto), por ejemplo, un valor como 13322. Esto no es una ventaja de seguridad real , pero hace que sea más difícil para un bot encontrar el puerto SSH activo.
• SOLO use claves seguras para la autenticación, si es posible, ¡desactive la autenticación del teclado con las contraseñas por completo!
• Use fail2ban - service, que está disponible para cualquier sistema / linux-derivate similar a Unix. Este servicio prohibirá automáticamente una dirección IP específica después de n intentos fallidos de autenticación durante un tiempo definido. La prohibición se realiza a través de las reglas de iptables, por lo que iptables es un requisito.

Una alternativa a fail2ban, puede configurar un trabajo cron por hora para ejecutar un script simple como el que se muestra a continuación. Ajuste los primeros 4 parámetros como mejor le parezca. Funciona con pf .

si no está utilizando pf, deberá reemplazar la línea pfctl ... por algo que funcione con su firewall.

También configura un trabajo cron diario para vaciar la tabla pf : pfctl -t bruteforce -vT expire 86400

#!/bin/sh -f
#
# Check 'Invalid user' attempts on sshd in auth.log (LOGFILE).
# If there are more than (MAX_TRY) attempts within
# the last hour (EARLIEST), source ip is added to PF_TABLE table in pf
#
MAX_TRY=5
LOGFILE=/var/log/auth.log
# last 48 hour
EARLIEST='date -v-48H +%s'
PF_TABLE=bruteforce

grep "Invalid user" $LOGFILE | while read d0 d1 d2 rest; do
    timestamp='date -j -f "%b %d %H:%M:%S" "$d0 $d1 $d2" +%s'
    test $timestamp -lt $EARLIEST && continue
    echo $rest | cut -d ":" -f2- | cut -d " " -f6
done | sort | uniq -c | while read count ip; do
    test $count -lt $MAX_TRY && continue
    pfctl -v -t $PF_TABLE -T add $ip
done